生产环境应使用 composer install --no-dev --optimize-autoloader --classmap-authoritative，它校验 lock、跳过 dev 包、生成权威 classmap 并禁用 PSR-4 回退；需清理框架缓存并验证 autoload_classmap.php 和 stat 调用。
生产环境别单独跑 composer dump-autoload -o
这事儿大概率白干。你猜怎么着？Composer 2.x 版本其实已经默认启用了 classmap 生成逻辑，所以单独执行 dump-autoload -o 这个命令，通常不会再触发完整的 classmap 扫描了。除非你的项目里明确定义了 "classmap" 字段，或者存在一些特殊的兼容性回退机制。那么，真正能生效的命令是什么呢？答案是：composer install --no-dev --optimize-autoloader。这个命令一步到位，帮你干了三件大事：首先，它会校验 composer.lock 文件的完整性；其次，它会跳过所有 require-dev 里的开发依赖包；最后，也是关键所在，它会强制重新生成 autoload_classmap.php 并启用优化模式。
--classmap-authoritative 不是可选项，是生产环境必须项
只加一个 -o 参数，其实还不够彻底。如果不加上 --classmap-authoritative（或者它的简写 -a），Composer 的自动加载器在 classmap 里找不到某个类时，仍然会回退到 PSR-4 的路径猜测机制。这反而会多一次文件系统的 stat() 调用，性能可能更差。加上这个参数后，加载器才会“只信这张表”，彻底绕过目录遍历，实现最快的加载速度。不过，这里有个重要的前提：所有运行时需要用到的类，都必须被提前扫描进 classmap 里，否则就会直接报 Class not found 错误。
- 那些动态拼接类名的操作（比如
$class = $prefix . 'Handler'）是不会被扫描进去的，你得提前用require_once加载，或者改用class_alias()来声明。 - 像 Lara vel 路由里的闭包，或者 Symfony 服务配置中的匿名类，如果没有显式声明在
classmap或 PSR-4 的规则下，同样会加载失败。 - 测试类、Mock 类以及 AOP 织入的代码，必须从 autoload 配置中剔除，否则 classmap 文件会无谓地膨胀，甚至导致优化失效。
验证是否真生效，别只看命令有没有报错
部署命令执行完毕，可别以为就万事大吉了。经验表明，立刻动手检查以下两个地方，才能确保优化真正落地：
- 打开
vendor/composer/autoload_classmap.php文件，直接搜索你项目的主命名空间（比如App\）。确认相关的路径已经以绝对路径的形式，写死在这个数组里了，而不是一个空数组或者只有第三方包的条目。 - 使用
strace -e trace=stat php -r "new AppModelsPost();"这样的命令，观察输出中是否还有大量针对/path/to/src/Models/Post.php这类路径的stat()失败调用。如果没有，恭喜你，说明 PSR-4 回退机制确实已经被关闭了。 - 如果服务器启用了 opcache，还需要额外注意，确保
opcache.preload的配置没有和 classmap 优化产生冲突——preload 文件里不能包含class_exists()或直接new实例化的代码，否则可能导致 FPM 启动失败。
CI/CD 流程里最容易漏掉的一环
很多团队已经把 composer install --no-dev --optimize-autoloader 写进了部署脚本，但却常常忽略一个后续动作：清理旧的框架缓存。比如在 Lara vel 项目中，必须紧接着执行 php artisan config:clear 和 php artisan view:clear 这类命令。否则，框架可能还在使用旧的、已编译的视图或配置缓存，这会导致新添加的类看起来像是“加载失败”。其实，这已经不是自动加载的问题了，而是缓存层遮蔽了真实的代码状态。话说回来，养成“优化后即清理”的习惯，能帮你省去很多不必要的排查时间。
